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(57) Abstract 

The invention concerns 
a method enabling a smart 
card and a terminal whereto 
it is connected to authenti- 
cate each other. The inven- 
tion is characterised in that 
at the end of each transaction 
the terminal calculates, from 
data representing the card at 
said transaction end, a secret 
code CSC2 which is recorded 
in a zone ZCSC with unpro- 
tected access in the card mem- 
ory and an authentication cer- 
tificate CA2 which is recorded 
in a zone ZCA with protected 
access of the memory by pre- 
senting a secret code CSC2. 
At the next transaction, the 
terminal calculates, by means 
of data contained in the card, 
a secret code and an authenti- 
cation certificate which are compared to those previously recorded to perform authentication. The invention is applicable to smart cards. 
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(57) Abre*ge* 

l/invention conceme un proceed qui pcrmet a une carte a memoire et a un terminal auquel elle est connected de s'authentifier 
mutuellement. L'invention reside dans le fait qu'a la fin de chaque transaction le terminal calcule, a partir d' informations representatives 
de la carte a cette fin de transaction, un code secret CSC2 qui est enregistre* dans une zone ZCSC a acces non protege* de la m6moire de 
la carte et un certificat d'authentification CA2 qui est enregistre' dans une zone ZCA a acces protege* de la m&noire par la presentation du 
code secret CSC2. A la transaction suivante, le terminal calcule, a l'aide des informations contenues dans la carte, un code secret et un 
certificat d'authentification qui sont compares a ceux pr6c6demment enregistres pour r6aliser Tauthentification. L' invention est applicable 
aux cartes a mdmoire. 
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PROCEDE D 1 AUTHENTIFICATION ENTRE UNE CARTE A MEMOIRS ET 

UN TERMINAL 

L' invention concerne les cartes a memoire et les 
terminaux auxguels elles sont susceptibles d'etre 
connectees de temps & autre et, plus particulierement, 
un proc§d€ qui permet & la carte & m&noire et au 
5 terminal de s 'authentif ier . 

Les cartes a mSmoire, du fait qu' elles ne comportent 
pas un microprocesseur, ne peuvent pas mettre en oeuvre 
un algorithme d 1 authentif icat ion qui implique des 
calculs. Cependant, certaines cartes d memoire mettent 

10 en oeuvre un algorithme sous forme c&bl6e qui permet 
I 1 authentif ication dite "active" de la carte par le 
terminal mais pas 1* authentif ication inverse du 
terminal par la carte. Par suite de leur faible codt, 
les cartes & mimoire sont tres utilis6es dans de 

15 nombreuses applications telles que les cartes de 
fid£lit§, les contrdles d'acc&s, les paiements 
privatifs, etc ... . Cependant, par suite de I 1 absence 
d' authentif ication, leur s6curit6 d'emploi est 
vuln§rable de sorte qu'on leur pr§f6re parfois des 

20 cartes & microprocesseur pour certaines applications. 
Mais ces cartes Sl microprocesseur sont d*un cotlt 
nettement plus 61ev6, d'autant plus eleve que 
l 1 algorithme d 1 authentif ication est felabore, ce qui 
conduit a les ecarter pour des applications bon marchfe. 

25 Aussi, le but de la presente invention est d'obtenir la 
securite d'emploi des cartes a memoire. 
Ce but est atteint en mettant en oeuvre un procfede 
d' authentif ication dans lequel tous les calculs 
algorithmiques sont effectues par le terminal auquel la 

30 carte a memoire est connect6e. 
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Par ailleurs, les operations relatives a 
1» authentif ication sont effectuees avant le dibut d § une 
transaction proprement dite et aprSs la fin de cette 
transaction en vue de 1 'authentif ication au dSbut de la 
5 transaction suivante. 

L f invention concerne done un proc£d6 d 1 authentif ication 
entre une carte a memoire comportant au moins un 
compteur et un terminal, caract§ris6 en ce qu'il 
comprend les stapes suivantes consistant & : 
10 (a) Inserer la carte £ m£moire dans le terminal, 

(b) Calculer dans le terminal un code secret CSC^ selon 
une fonction cryptographique F de plusieurs 
variables comprenant au moins un code CSN 
identifiant la carte & memoire et la valeur dudit 

15 compteur, 

(c) Authentifier le terminal par la carte lorsque le 
code secret calculi CSC^ est identique a un code 
CSC 0 enregistr6 dans la memoire a la fin de la 
precedente authentif ication selon l 1 operation (f) 

20 ci-apr6s, 

(d) executer la transaction prevue et modifier la 
valeur dudit compteur, 

(e) calculer dans le terminal un nouveau code secret 
CSC 2 selon la fonction cryptographique F du code 

25 CSN identifiant la carte a memoire et de la 

nouvelle valeur dudit compteur, 

(f) mettre £ jour la carte a memoire pour la prochaine 
transaction en enregistrant dans la memoire, le 
nouveau code secret CSC 2 calculi par 1 1 operation 

30 (e) . 

Pour obtenir 1 1 authentif ication de la carte par le 
terminal, le procidfi comprend les etapes 
supplement a ires suivantes entre les €tapes (c) et (d) 
consistant & : 
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(x) calculer dans le terminal un certificat 
d 1 authentif ication CA X selon une fonction 
cryptographique G de plusieurs variables comprenant 
au moins le code CSN identifiant la carte a mimoire 
5 et la valeur dudit compteur, 

(y) authentifier la carte par le terminal lorsque le 
certificat d' authentif ication calculi CA 1 est 
identique & un certificat CA Q calculi et enregistre 
dans la carte a la fin de la pricidente transaction 
10 selon les itapes (e 1 ) et (f f ) ci-apres : 

en ce que l'etape (e) est complitie par l'etape 
suivante consistant a : 

(e 1 ) calculer dans le terminal un nouveau 
certificat d f authentif ication CA 2 selon la fonction 
15 cryptographique G, 

et en ce que l'itape (f) est complitie par l»itape 
suivante consistant k : 

(f 1 ) mettre a jour la carte a mimoire pour la 
prochaine transaction en enregistrant dans la 
20 mimoire le nouveau certificat d* authentif ication 

CA 2 calculi selon l f itape (e'). 
D'autres caracteristiques et avantages de la presente 
invention apparaltront cl la lecture de la description 
suivante d'un exemple particulier de rialisation, 
25 ladite description itant faite en relation avec le 
dessin joint dans lequel : 

- la figure 1 est un schima simplifii d f une carte a 
mimoire, et 

- la figure 2 est un diagramme montrant les operations 
3 0 effectuies entre le terminal et la carte & mimoire 

lors d'une transaction, 
Le procidi de l 1 invention s 1 applique (figure 1) a une 
carte a memoire CM qui comprend bien entendu une 
memoire M mais aussi un compteur CT dit de transactions 
35 qui compte les transactions effectuies entre la carte 
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CM et un terminal TE auquel la carte est connectee par 
insertion. 

La carte a m6moire CM peut aussi comprendre un deuxi£me 
compteur CE dit d* authentif ication qui compte les 
5 demandes d 1 authentif ication, ces demandes 

d ' authentif ication pouvant intervenir & tout moment 
lors d'une transaction et independamment de cette 
derniere. 

Ces deux compteurs CE et CT peuvent faire partie de la 

10 memoire M selon des dispositifs connus. 

En outre, la memoire M de la carte comprend une 
premiere zone a accfes non prot6g£ en lecture dans 
laquelle est enregistre, par exemple le numero de serie 
CSN de la carte dans une partie ZCSN, et une deuxifeme 

15 zone a acces prot§g6 pour le reste de la m§moire, cette 
deuxi6me zone comportant des parties qui sont affecties 
& 1 1 enregistrement de valeurs particuliferes telles 
qu'un Certificat d 1 Authentif ication CA dans la partie 
ZCA et une balance BAL et son certificat 

20 d" authentif ication CBAL dans la partie ZBAL. 

Une troisidme zone ZCSC est reserv^e a 1 1 enregistrement 
d f un code secret CSC et son acces pour enregistrement 
est soumis a la presentation du code secret CSC. 
La memoire M est adressee par un circuit d'adressage 

25 ADR et la transmission bilatferale des signaux entre le 
terminal TE et la carte CM s'effectue par 
1 1 intermfediaire d'un circuit interface INT. 
Par ailleurs, la carte comprend un comparateur CP qui 
compare le code CSC lu dans la partie ZCSC a un code 

30 fourni par le terminal TE, le resultat de la 
comparaison permettant ou non l^dressage de la zone 
protegee de la m€moire M. 

Le procede selon l f invention sera d6crit dans le cadre 
d'une authentif ication mutuelle entre la carte et le 
35 terminal en mettant en oeuvre le seul compteur de 
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transactions CT et des . f onctions cryptograph igues dites 
a sens unigue mais le proc6d6 de 1 1 invention peut 
egalement s^ppliguer & la seule authentif ication du 
terminal par la carte, & la mise en oeuvre simultanee 
5 des deux compteurs CE et CT et de f onctions 
cryptographigues autres que celles a sens unigue. Les 
diffSrentes operations, notamment cryptographigues, 
peuvent etre r6alis6es soit dans le terminal TE, soit 
dans un module de s6curit§, soit encore dans un 
10 dispositif distant c 

De preference, le precede d 1 authentif ication mutuelle 
selon l 1 invention comprend les etapes suivantes 
consistant a : 

(m) Inserer la carte CM dans le terminal TE, cette 
15 etape pouvant comporter la presentation d'un code 
personnel PIN de 1 1 utilisateur de la carte, 
(n) Calculer dans le terminal TE une cle de session 
Ks^ en : 

(n 1 ) lisant le num§ro de s&rie CSN de la carte CM, 
20 (n 2 ) lisant le contenu CTC 1 du compteur de 

transactions CT de la carte CM et, 
(n 3 ) calculant une cie de session Ks 1 selon une 
fonction cryptograph igue a sens unigue F^g telle 
gue : 

25 Ks i = Fks^' CSN ' CTC l) 

- etant une cl6-m£re enregistrfee dans le 
terminal TE, 

- F^g etant par exemple une fonction du type 
hachage, 

30 (o) Calculer, dans le terminal TE, un code secret CS^ 
de la carte & l'aide d'une fonction 
cryptographigue F telle gue : 
CS^ = F(Ks^) , 
(p) Authentif ier le terminal TE par la carte CM en : 
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(p-jj transmettant le code secret CSC 1 a la carte 
CM, 

(p 2 ) comparant dans le comparateur CP ce code 
secret CSC 1 & un code secret CSC Q enregistr6 dans 
5 la carte CM & la fin de la pr§c6dente transaction 

avec la carte, et 

(p 3 ) autorisant la suite des operations si la 
comparaison indique l'identitfe CSC Q = CSC^ ou en 
la refusant dans le cas contraire ; 
10 (q) Calculer dans le terminal TE un Certificat 
d'Authentif ication CA 1 tel que : 
CA 1 = G(Ks 1 ) 

* G itant une fonction cryptographique, et 
(r) Authentif ier la carte CM par le terminal TE en : 
15 (r^) lisant le contenu CA Q de la zone ZCA de la 

m§moire de la carte CM, 

(r 2 ) transmettant au terminal TE le contenu CA Q de 
cette zone prot£g6e ZCA qui correspond & un 
Certificat d'Authentif ication CA Q calcul6 a la fin 
20 de la pr6c€dente transaction, 

(r 3 ) comparant dans le terminal TE le Certificat 
d'Authentif ication calculi CA 1 au certificat CA Q , 
et 

(r 4 ) autorisant la suite des operations si la 
25 comparaison indique l 1 identity CA 1 = CA Q ; 

(s) Executer la transaction, cette transaction pouvant 

consister par exemple & mettre Sl jour une zone de 

memoire ZBAL indiquant l'etat du credit ou balance 

BAL restant dans la carte CM en : 
30 (Sj^) lisant dans la zone ZBAL la valeur BALg de la 

balance resultant de la transaction pr€cedente et 

le certificat correspondant CBALq, 

(s 2 ) verifiant que le certificat CBALq correspond 

bien au risultat de la fonction cryptographique 
35 telle que : 
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CBAL 0 = H (Kj., BAL Q/ CSN, CTCjJ , 

- K t etant une cl6 de transaction, 

(s 3 ) incr^mentant le compteur de transactions & la 
valeur (CT^ + 1) = CTC 2 
5 (s 4 ) enregistrant la nouvelle balance BAL^ dans la 

zone ZBAL, 

(s 5 ) calculant un Certificat CBAL 1 de la nouvelle 

balance BAL 1 telle que : 

CBAI^ = H(K^, BAL^, CSN, CTC 2 )-, et 
10 (s 6 ) enregistrant CBAI^ dans la zone ZBAL ; 

(t) Mettre & jour la carte CM pour la prochaine 

transaction avec un nouveau code secret CSC 2 et un 

nouveau certificat CA 2 , en 

(t^ calculant dans le terminal TE : 
15 - la future cl6 de session Ks 2 telle que : 

Ks 2 = CSN ' CTC 2> 

- le futur code secret CSC 2 tel que : 

CSC 2 = F(Ks 2 ) , 

- le futur certificat d' authentif ication CA 2 tel 
20 que : 

CA 2 = G(Ks 2 ) , 

(t 2 ) enregistrant le code secret CSC 2 dans la 
memoire M de la carte CM dans la zone prot6g6e et 
le certificat d) authentif ication CA 2 dans la zone 
25 prdt6g&e ZCA. 

L 1 invention a 6t6 d£crite avec un exemple particulier 
de realisation dans lequel la transaction est une 
operation sur la valeur balance de la carte ; 
cependant , 1 1 invention s 1 applique a toute autre 
30 transaction selon les applications pr^vues pour la 
carte consid6r6e. 

Dans cet exemple particulier, la transaction se termine 
par une incrementation du compteur de transactions CT & 
une valeur CTC 2 qui est 6gale habituellement a 
35 (CTC« + l) . Cependant, cette valeur de CTC 2 peut §tre 
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diff£rente de (CTC^ +1) et €tre 6gale, par exemple, & 
(CT^ + 3) . 

Ce compteur de transactions doit §tre increments ou 
decrements & chaque transaction m§me si 1* operation 
5 conduit a ne pas changer la balance ; dans ce cas, il 
faut effectuer la transaction en r§enregistrant la 
balance inchang6e mais le certificat CBAL^ sera 
different car le compteur de transactions aura ete 
increments. II en sera de rn&ne du nouveau code secret 

10 CSC 2 et du certificat CA 2 . 

Les variables des fonctions F, G et F ks qui ont ete 
retenues dans l 1 exemple sont la cle-mere, le numSro de 
s6rie CSN et la valeur CTC du compteur de transactions. 
Cependant, des variables additionnelles peuvent §tre 

15 utilisees telles que le code personnel PIN de 
1 'utilisateur de la carte, ce code 6tant entre dans le 
terminal apres insertion de la carte. 

L' invention a et6 dScrite dans le cadre d'une 
authentif ication mutuelle carte/terminal mais elle 

20 s 1 applique de manidre plus g£n£rale d'abord & une 
authentif ication du terminal par la carte, cette 
premiere authentif ication pouvant §tre suivie ou non 
par une authentif ication de la carte par le terminal, 
l 1 ensemble des deux authentif ications rSalisant une 

25 authentif ication mutuelle. 

L' exemple d£crit utilise des fonctions cryptographiques 
F, G et F ks utilisant des variables telles qu'une cle- 
mfcre 1^, une cl6 de session K s et une cle de 
transaction K t , mais de telles cles ne sont pas 

30 n6cessaires pour mettre en oeuvre l 1 invention. 

La valeur du compteur d ' authentif ications CE est de 
preference utilisfee pour le calcul du code secret CSN 
tandis que la valeur du compteur de transactions CT est 
de preference utilisSe pour le calcul du certificat 

35 d« authentif ication CA. 
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EVENDICATIONS 



1. Proced6 d'authentif ication entre une carte a memoire 
(CM) comportant au moins un compteur (CE, CT) et un 
terminal (TE) , caract6ris6 en ce qu»il comprend les 
6tapes suivantes consistant & : 
5 (a) Inserer la carte & m£moire (CM) dans le terminal 
(TE) , 

(b) Calculer dans le terminal un code secret CSC^ selon 
une fonction cryptographique F de plusieurs 
variables comprenant au moins un code CSN 

10 identifiant la carte h mSmoire et la valeur (CTE 1# 

CTC^) dudit compteur (CE, CT) , 

(c) Authentifier le terminal par la carte lorsque le 
code secret calcule CS^ est identique a un code 
CSCq enregistrS dans la memoire a la fin de la 

15 precSdente authent if ication selon l 1 operation (f) 

ci-aprSs, 

(d) executer la transaction pr£vue et modifier la 
valeur (CTE 2 / CTC 2 ) dudit compteur (CE, CT) , 

(e) calculer dans le terminal (TE) un nouveau code 
2 0 secret CSC 2 selon la fonction cryptographique F du 

code CSN identifiant la carte & mSmoire (CM) et de 
la nouVelle valeur (CTE 2 , CTC 2 ) dudit compteur (CE, 
CT), 

(f) mettre a jour la carte a memoir e (CM) pour la 
25 prochaine transaction en enregistrant dans la 

memoire (M) , le nouveau code secret CSC 2 calculi 
par 1' operation (e) . 



2. Proc6d6 selon la revendication 1, caracterisS : 
30 - en ce qu'il comprend les §tapes supplementaires 
suivantes entre les Stapes (c) et (d) consistant & : 
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(x) calculer dans le terminal (TE) un certif icat 
d'authentif ication CK 1 selon une fonction 
cryptographique G de plusieurs variables comprenant 
au moins le code CSN identifiant la carte a mSraoire 
5 et la valeur (CTE lf CTC^ du compteur (CE, CT) , 

(y) authentifier la carte (CM) par le terminal (TE) 
lorsque le certif icat d'authentif icat ion calcule 
CA X est identique & un certificat CA Q calcule et 
enregistr6 a la fin de la pr6c6dente transaction 
10 selon les itapes (e f ) et (f 1 ) ci-apr&s : 

en ce que l'etape (e) est compl§t£e par l'etape 
suivante consist ant Sl : 

(e 1 ) calculer dans le teirminal (TE) un nouveau 
certificat d' authentif ication CA 2 selon la fonction 
15 cryptographique G du code CSN identifiant la carte 

& mSmoire et de la nouvelle valeur (CTE 2 , CTC 2 ) 
dudit compteur (CE, CT) , 

et en ce que l f 6tape (f) est completee par l'etape 
suivante consistant & : 
20 (f 1 ) mettre h jour la carte a memoire (CM) pour la 

prochaine transaction en enregistrant dans la 
memoire (M) le nouveau certificat 

d'authentif ication CA 2 calcule selon l'etape (e'). 

25 3. Proced6 selon la revendication 1, caracterise : 
- en ce que l'6tape (b) consiste a : 

- calculer d'abord dans le terminal (TE) une cle de 
session K sl selon une fonction cryptographique F ks 
de plusieurs variables comprenant au moins une cl6- 

30 mere 1^ connue du terminal (TE) , le code CSN 

identifiant la carte & m£moire (CM) et la valeur 
(CTE lf CTC^ dudit compteur (CE, CT) , 

- calculer ensuite dans le terminal (TE) le code 
secret CSCj^ selon la fonction cryptographique F de 

35 la cl§ de session K gl , 
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- en ce que l'etape (e) consiste £ : 

- calculer d'abord dans le terminal (TE) une 
nouvelle cl6 de session K g2 selon la fonction 
cryptographique Fj^ avec la nouvelle valeur (CTE 2 , 

5 CTC 2 ) dudit compteur (CE # CT) , 

- calculer ensuite dans le terminal (TE) le nouveau 
code secret CSC 2 selon la fonction cryptographique 
F de la nouvelle cl6 de session K s2 . 

10 4. Procede selon la revendication 2 et 3, caracteris§ 
en ce que : 

- l'6tape (e 1 ) consiste a calculer le nouveau 
certificat d'authentif ication CA 2 selon la fonction 
cryptographique G de la nouvelle cli de session K s2 . 

15 

5. Procede selon l'une quelconque des revendications 
pr£c§dentes 1 a 4, dans son application & une carte a 
m§moire (CM) comprenant deux compteurs, I'un (CE) 
comptant les authentif ications et 1* autre (CT) comptant 
20 les transactions de paiement, caract6rise en ce que les 
variables des fonctions cryptographiques F, G et F ks 
comprennent les valeurs (CTE 1/ CTE 2 , CTC^ CTC 2 ) 
desdits compteurs . 

25 6. Procede -selon l'une des revendications precedentes 
caracterise en ce que les fonctions cryptographiques F, 
G et F^g sont des fonctions & sens unique. 



7. Proc£de selon la revendication 6, caracterise en ce 
30 que les fonctions cryptographiques F, G et F ks sont des 

fonctions de "hachage" . 

8. Procede selon l'une des revendications precedentes 3 
& 7 , caracterisfi en ce que 1 1 6tape (b) comprend les 

35 etapes suivantes consistant k : 
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(h^) lire le num6ro de sferie CSN de la carte (CM) , 
(b 2 ) lire le contenu (CTE 1 et/ou CTC 1 ) du 
compteur, et 

(b 3 ) calculer la cl<§ de session selon une fonction 
5 cryptograph ique Fy^ Q telle que : 

Ks l = 'jcs***' CSN < CTC^. 

9. Proc§d6 selon l'une des revendications 1 a 8, 
caract6rise en ce que l'§tape (c) comprend les 6tapes 

10 suivantes consistant a : 

(c 1 ) transmettre le code secret CSC^ & la carte 
CM, 

(c 2 ) comparer dans la carte ce code secret CS^ a 
un code secret CSC Q enregistre dans la carte CM a 
15 la fin de la precedente transaction avec la carte, 

et 

(c 3 ) autoriser la suite des operations si la 
comparaison indique l'identite CSC Q = CS^ ou en 
la refusant dans le cas contraire. 

20 

10. Proc6d6 selon l*une des revendications 2 k 9, 
caract&ris6 en ce que I'etape (y) comprend les etapes 
suivantes consistant a : 

(y 1 ) lire le contenu CA Q de la zone ZCA de la 
25 memoisre de la carte CM, 

(y 2 ) transmettre au terminal (TE) le contenu CA Q 

de cette zone ZCA qui correspond a un Certificat 

d'Authentif ication CA Q calcule & la fin de la 

pr§c6dente transaction, 
30 (y 3 ) comparer dans le terminal TE le Certificat 

d'Authentif ication calculi CA X au certificat CA Q , 

et 

autoriser la suite des operations si la 
comparaison indique 1 ■ identity = CA Q , 
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11. Proc6d6 selon l'une des revendications 1 & 10, 
caracterise en ce que l'6tape (d) comprend, dans le cas 
d'une modification de la balance BAL Q , les stapes 
suivantes consistant & : 

5 (d^) lire dans une zone ZBAL de la memo ire (M) la 

valeur BAL Q de la balance resultant de la 
transaction pr£c6dente et le certificat 
correspondant CBALq , et 

(d 2 ) verifier que le certificat CBALq correspond 
10 bien au resultat de la fonction cryptographique 

telle que : 

CBALq = H (K t , BAL Q , CSN, CTC^ , 
- K t 6tant une cl6 de transaction, 
(d 3 ) incrementer le compteur de transactions a la 
15 valeur (CTC^ + 1) = CTC 2 

(d 4 ) enregistrer la nouvelle balance BAL 1 dans la 
zone ZBAL, 

(d 5 ) calculer un Certificat CBAL^ de la nouvelle 
balance BAL 1 telle que : 
20 CBAL X = H(K t , BAL^, CSN, CTC 2 ) , et 

(d 6 ) enregistrer CBAL^ dans la zone ZBAL. 

12. Proc£de selon l'une des revendications precedentes 
1 ^ 11, caracterise en ce que : 

25 - l'6tape (a) comprend en outre, une itape d'entr§e du 
code personnel PIN de 1 'utilisateur . 

13. Proced6 selon l'une des revendications prec§dentes 
3 & 12, caract6ris6 en ce que : 

30 - dans l'6tape (b) , l'une des variables utilis&es pour 
le calcul de session Ks^^ est le code personnel PIN de 
1 'utilisateur. 
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